遠端存取管理

「遠端存取管理」集中管理 SSH 登入認證資料和遠端連線。艦隊原「遠端連線管理」已更名，裝置層級也提供入口。

頁面入口和權限

頁面	內容
艦隊 → 遠端存取管理 → 連線管理	檢視活躍連線，按權限斷開
艦隊 → 遠端存取管理 → 金鑰管理	儲存艦隊共享 SSH 認證資料
裝置 → 遠端存取管理	儲存裝置專用 SSH 認證資料，檢視繼承項，確認主機身分；僅金鑰管理
裝置概要 → 遠端桌面	選擇儲存的認證資料或使用密碼發起連線，無上傳功能

Master / Admin 管理認證資料及主機身分。認證資料預設「僅管理員」使用，管理員可明確開放給「有遠端連線權限的成員」，包括 Developer。Observer 僅檢視後設資料，不能連線或修改。

認證資料使用權限與管理權限分開；能使用不代表能檢視、下載私密金鑰。任何角色都沒有私密金鑰檢視或匯出入口。連線操作記錄實際使用者。

首次設定

1. 裝置管理員自行設定目標系統帳號的使用者公開金鑰，或簽發 CA 公開金鑰及允許主體。
2. 在艦隊或裝置金鑰管理點選「新增 SSH 認證資料」，填寫名稱、裝置系統帳號和驗證方式。
3. 上傳使用者私密金鑰；憑證方式另上傳外部簽發的使用者憑證，加密私密金鑰另提供通關密語。請勿上傳 CA 私密金鑰。
4. 選擇允許使用的成員，按需設為預設並儲存。
5. 在裝置頁面登記主機公開金鑰，可信核對指紋後確認。
6. 連線使用者在「遠端桌面」選擇帳號、驗證方式和儲存的認證資料，驗證連線。

儲存時自動識別演算法、檢查憑證簽章和有效期及使用者私密金鑰匹配，儲存認證資料及其使用權限就是平台連線許可，無需再建立獨立公開金鑰或 CA 授權。裝置端公開金鑰、CA／主體及驗證限制仍由使用者自行維護。

裝置無需拉取雲端金鑰，也無需回報版本、應用狀態。平台不會編輯裝置檔案；儲存成功表示雲端設定已儲存，實際登入由裝置 SSH 服務完成驗證。

Windows PowerShell / Linux 金鑰產生、CA 簽發、裝置授權、雲端上傳和連線驗證的完整教程見SSH 金鑰與憑證驗證。普通金鑰登入無需 CA；OpenSSH 使用者憑證登入需要使用者憑證和匹配私密金鑰，CA 私密金鑰始終由簽發方保管。

裝置優先、艦隊繼承與預設項

繼承按目標系統帳號和驗證方式判斷：

• 有裝置設定時，只能使用對應裝置認證資料，艦隊項顯示已被覆蓋。
• 沒有對應裝置設定時，使用艦隊項，無需設定繼承開關。
• 裝置項過期、停用、撤銷或目前使用者無使用權限時，不自動回退艦隊，也不切換密碼。
• 同層可以儲存多條並設定預設項；預設標記不繞過可用性與權限檢查。

繼承項唯讀，需要到艦隊層級編輯。停用或撤銷保留裝置覆蓋；刪除最後一條對應裝置設定可能恢復艦隊繼承，確認框會說明影響，請先核對。

認證資料範圍僅限制 JelinaCloud 入口；需要裝置本機也隔離不同艦隊或帳號時，應自行設定不同公開金鑰、CA 或憑證主體規則。

更新、停用、撤銷與刪除

操作	行為
編輯	修改名稱、可使用成員和預設標記；不回顯私密金鑰及通關密語
更新金鑰/憑證	上傳新的使用者私密金鑰、可選使用者憑證及必要通關密語；原帳號、範圍和方式保持一致
停用／啟用	停用可恢復；停用後不能建立連線，已有連線會重新檢查並關閉
撤銷認證資料	此儲存項不可重新啟用，清除其加密私密金鑰；不影響其他獨立儲存項或裝置信任
刪除	清除密文，保留審計後設資料；裝置項刪除可能恢復艦隊繼承

JelinaCloud 不自動簽發或續簽使用者憑證。到期前向自己的 CA 管理員申請新憑證，然後在管理頁更新並驗證。不能透過修改頁面有效期延長憑證。

平台操作僅約束透過 JelinaCloud 的連線，不會自動清理裝置 authorized_keys、CA 或本機 KRL。需要阻止直接 SSH 時，由裝置管理員自行落實撤銷與舊授權清理。

確認裝置主機身分

金鑰和憑證連線都要求核實裝置主機身分。它與使用者憑證或簽發 CA 是不同物件。

1. 從裝置本機或可信渠道執行 cat /etc/ssh/ssh_host_*_key.pub，取得現有主機公開金鑰。
2. 在裝置「遠端存取管理」展開「裝置主機身分」，點選「登記主機公開金鑰」，每次貼上一行。
3. 在裝置執行 ssh-keygen -lf <對應主機公開金鑰檔案> -E sha256，與頁面完整指紋核對。
4. 一致後點選「核實並確認」；多種演算法分別登記並核實。

只接受主機公開金鑰，不接受使用者公開金鑰、使用者憑證、CA 公開金鑰或私密金鑰。支援 Ed25519、ECDSA nistp256／384／521、RSA 2048～8192 位。演算法自動識別，後端按裝置實際協商演算法選用已確認公開金鑰，不需要修改 guacd 或讓連線使用者選擇演算法。

裝置重灌或主機身分變化後需重新可信核實，系統不會因裝置 Online 而自動信任新公開金鑰。

連線設定與額度

管理頁只維護登入認證資料與裝置主機身分，不再提供獨立公開金鑰、CA 授權、個人憑證或艦隊／裝置策略編輯。裝置上哪些帳號可透過何種公開金鑰或 CA 主體登入，由裝置管理員自行設定。

平台執行預設埠及全域允許的驗證方式由平台管理員統一維護；連線頁仍展示目前允許的方式。需要限制裝置直接 SSH 密碼等驗證來源時，請修改裝置 SSH 設定。

連線額度、個人／裝置上限、閒置和最長時限仍由平台組織規格及伺服器容量共同限制，租戶唯讀展示有效值，不能自行擴大。

即時連線與操作記錄

連線管理展示目前活躍連線，可以按權限斷開。即時工作階段儲存在服務記憶體，不提供持久工作階段歷史；操作記錄沿用已有操作記錄。服務重新啟動或工作階段狀態回收後，舊連線不能恢復，請重新連線。

私密金鑰保護與裝置轉移

使用者私密金鑰及必要通關密語加密儲存，後設資料清單僅顯示名稱、系統帳號、範圍、演算法、有效期、權限和狀態。CA 私密金鑰由使用者自己的簽發方保管，不上傳平台。平台不會以瀏覽器本機快取私密金鑰實現重複登入。

裝置移動到新艦隊或組織後，舊裝置專用認證資料和授權不能繼續使用，舊認證資料密文會清除；不會在轉回後自動復原。請重新設定目前範圍的認證資料並核實主機身分，裝置上的舊信任仍由裝置管理員自行維護。